Uma nova investigação acaba de quantificar algo que todo usuário de criptomoedas deveria se preocupar.

A empresa de inteligência de ameaças Infoblox identificou 236,493 domínios de segundo nível distintos, todos construídos sobre a mesma estrutura de aplicativo de código aberto chinesa, o DCloud Uni-App. Grande parte deles existe com um único propósito: drenar carteiras de criptomoedas e operar exchanges falsas. A estrutura em si é perfeitamente legítima, utilizada por desenvolvedores reais em todo o mundo para lançar aplicativos para iOS, Android e web a partir de uma única base de código. Essa mesma conveniência é o que a torna tão atraente para quadrilhas de fraude. Elas conseguem uma exchange falsa ou um painel de investimento falso, sofisticado e otimizado para dispositivos móveis, em dias em vez de meses, e o código subjacente é indistinguível do de milhares de startups reais.

Por que isso é pior do que a proliferação usual de sites fraudulentos?

Os números falam por si só sobre a rapidez com que a situação saiu do controle. Antes de outubro de 2024, Infoblox Já se observava o surgimento de alguns milhares de novos sites fraudulentos com a identificação digital da DCloud a cada mês, o que já era um número considerável. Após o escândalo da RainbowEx ganhar destaque internacional naquele outono, a taxa disparou para cerca de 15,000 novos sites detectados por mês no pico. Aparentemente, os golpistas analisaram a cobertura da imprensa e decidiram que valia a pena copiar a estratégia em larga escala, em vez de abandoná-la. Os sites têm como alvo falantes de pelo menos oito idiomas e abrangem todos os continentes, se passando por tudo, desde grandes bolsas de valores a gigantes do varejo e plataformas de mensagens. A maioria deles está hospedada na Cloudflare, AWS, Alibaba Cloud e Tencent Cloud, o que lhes permite se misturar com empresas reais e torna as listas de bloqueio de IP simples praticamente inúteis.

Poucos RainbowEx e a cidade argentina que foi dizimada

Se você quer ter uma ideia do que as vítimas realmente vivenciam, o caso RainbowEx é o exemplo perfeito. Em 2024, moradores de San Pedro, na Argentina, investiram dinheiro no que parecia ser uma corretora de criptomoedas sofisticada. O painel de controle mostrava negociações em tempo real, os saldos subiam constantemente e os depósitos em stablecoins fluíam sem problemas. Então, os saques pararam de funcionar. Milhares de pessoas em uma pequena cidade descobriram que as negociações haviam sido falsificadas, os saldos eram sintéticos e os operadores haviam desaparecido. As autoridades argentinas prenderam posteriormente sete pessoas supostamente ligadas à operação, mas a maior parte do dinheiro sumiu, e o mesmo modelo, com alterações superficiais na marca, agora está em operação em uma porcentagem considerável desses 236,000 domínios.

O que um investidor comum deveria realmente fazer a respeito disso

Não existe uma solução simples aqui, porque a estrutura subjacente é um software legítimo e os servidores são provedores de nuvem convencionais que não podem simplesmente desativar toda a sua base de clientes. Cerca de 6% dos domínios fraudulentos confirmados estavam hospedados em servidores robustos como o CTG Server Limited, que já foi sinalizado por atividades maliciosas, então pelo menos nesses casos o vilão é claro. O restante se esconde no tráfego normal. Qualquer pessoa avaliando uma nova exchange, site de airdrop ou oportunidade de investimento encontrada em um grupo do Telegram, chat do WhatsApp ou mensagem direta no Twitter deve considerar a aparência impecável do site como prova de que nada é verdade. Verifique se a empresa está registrada em algum lugar legítimo, se os saques funcionam mesmo para pequenos valores antes de enviar grandes quantias e se o domínio foi registrado nos últimos meses. Se a resposta a qualquer uma dessas perguntas levantar suspeitas, desconfie. The Hacker News Contém detalhes técnicos adicionais para quem quiser se aprofundar no assunto.

A conclusão que tiramos dessa contagem é desconfortável, mas útil. A economia dos golpes com criptomoedas não é mais uma coleção dispersa de sites isolados criados por golpistas individuais trabalhando em seus porões. É uma linha de produção industrial operando com ferramentas compartilhadas, hospedagem convencional e estratégias comprovadas, e 236,000 lojas virtuais representam apenas o número de sites visíveis o suficiente para serem contabilizados. Trate cada link de corretora desconhecido da mesma forma que trataria um e-mail não solicitado pedindo sua senha, porque, nessa escala, as chances não estão a seu favor.